Actualmente genero firmas de código para mi paquete de código abierto mediante openssl.
La forma en que lo hago es:
-
Genere un par de claves privadas y públicas RSA (por ejemplo, openssl genrsa)
-
Durante el empaquetado, creo una firma generando un resumen sha-512 para el paquete y cifrando el resumen utilizando la clave privada (por ejemplo, openssl dgst -sign)
-
Le doy mi clave pública a la persona que está descargando el paquete, y ellos verifican el paquete usando mi clave pública y la firma (por ejemplo, openssl dgst -verify)
Estoy considerando usar un servidor HSM para almacenar mi clave privada para mayor seguridad, pero quiero mantener el flujo de trabajo de verificación igual para mis usuarios.
Por ejemplo, quiero que mis usuarios puedan verificar la firma utilizando openssl sin tener que acceder al dispositivo HSM.
¿Este flujo de trabajo sería posible con dispositivos de tipo HSM (por ejemplo, CloudHSM de AWS)?
Gracias por tu ayuda.